La CNIL a rendu publiques, ce jeudi 6 janvier 2022, des sanctions records prononcées à l’encontre de Google et Facebook. Ces décisions font suite à des contrôles menés sur les modalités de refus des cookies sur les sites web de ces sociétés, et à une précédente amende record de 100 millions d’euros vis-à-vis de Google, déjà sur le même sujet.
Non-respect de la loi « Informatique et Libertés »
Suite à plusieurs plaintes déposées auprès de la CNIL, des contrôles en ligne ont permis de constater des points de non-conformité relatifs aux modalités de recueil du consentement des utilisateurs situés en France. En effet, bien que proposant un bouton permettant d’accepter les cookies dès l’arrivée sur leurs sites, ces sociétés ne proposent pas de solution équivalente permettant aux utilisateurs de les refuser.
Sur le site Facebook, plusieurs clics sont nécessaires afin de refuser les cookies, menant d’autant plus vers un bouton s’intitulant « Accepter les cookies ». Cette « erreur » provoque donc une confusion auprès de l’utilisateur, qui pense que le refus n’est pas possible ou le décourage dans sa démarche.
Ces pratiques constituent des violations de l’article 82 de la loi Informatique et Libertés, et portent atteinte à la liberté du consentement et sont contraires aux lignes directrices et recommandations de la CNIL sur les cookies, motivant de lourdes sanctions.
Des sanctions records
Suite à ces contrôles, la CNIL a pris la décision de sanctionner :
- GOOGLE, à deux amendes d’un total de 150 millions d’euros (90 millions d’euros pour la société GOOGLE LLC et 60 millions d’euros pour GOOGLE IRELAND LIMITED)
- FACEBOOK IRELAND LIMITED, à une amende de 60 millions d’euros
Ces lourdes décisions sont justifiées par le nombre de personnes concernées et les bénéfices colossaux engendrés par ces entreprises grâce aux revenus publicitaires générés à partir des données collectées par les cookies (en 2020, la publicité via les services du groupe GOOGLE a généré des revenus de près de 147 milliards de dollars et, via les services de YouTube, de près de 20 milliards).
De plus, ces deux entreprises sont désormais tenues de se mettre en conformité dans un délai de trois mois sous peine de pénalités s’élevant à 100 000 euros par jour de retard. Google, dans une réaction transmise à l’AFP (Agence France-Presse), a annoncé changer ses pratiques : « Dans le respect des attentes des internautes, […] nous nous engageons à mettre en place de nouveaux changements, ainsi qu’à travailler activement avec la CNIL en réponse à sa décision ».
Depuis la fin de la période de grâce accordée aux entreprises pour se mettre en conformité quant aux nouvelles règles en matière de cookies, près de 100 mesures de sanction et de mise en demeure ont été prononcées par la CNIL. Ces décisions s’inscrivent dans le cadre de sa stratégie globale de mise en conformité.
La CNIL territorialement compétente
Le recours aux cookies étant effectué dans le cadre des activités des sociétés GOOGLE FRANCE et FACEBOOK FRANCE sur le territoire français, et en application de de l’article 3 de la loi Informatique et Libertés, la CNIL est considérée comme territorialement compétente pour contrôler et prononcer ces décisions.
Note : « La société FACEBOOK IRELAND LIMITED, dont le siège est en Irlande, se présente comme le responsable de traitement du service Facebook dans la région européenne. La société FACEBOOK FRANCE est l’établissement en France du groupe Facebook. » « La société GOOGLE IRELAND LIMITED, dont le siège est en Irlande, se présente comme le siège européen du groupe Google. La société GOOGLE FRANCE est l’établissement en France de la société GOOGLE LLC.«
Pour aller plus loin
Article 82 de la loi Informatique et Libertés
Lignes directrices et recommandations de la CNIL sur les cookies
Délibération de la CNIL du 30 décembre concernant les sociétés FACEBOOK IRELAND LIMITED
Délibération de la formation restreinte concernant les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED